En [File_Types_Created_Modified] se definen los tipos de archivos que deben mostrarse cuando se crean o se modifican.

En [Custom_Folders_Entries] se definen los directorios que deben mostrarse cuando un fichero es escrito dentro de ellos.

Hay reglas que se cumplen para un mismo fichero. Imagina que definimos en [File_Types_Created_Modified] los ficheros tipo .SYS y en [Custom_Folders_Entries] definimos C:\Archivos de programa. Si aparece por ejemplo:

C:\Archivos de programa\Prueba\Fichero.SYS

ese fichero cumple ambas reglas: es .SYS y está en C:\Archivos de programa.

En ese caso sólo se notifica la primera coincidencia.

Las reglas están hechas para que sean lo más flexibles posibles y permitan abarcar el mayor abanico de situaciones posibles.

En cuanto a las sugerencias...

Lo que es significativo es la creación del fichero AUTORUN.INF, el contenido no es relevante ya que el fichero al que apunta será reportado por una de las reglas casi con toda seguridad ya que será un archivo ejecutable.

La carpeta RECYCLER puede añadirse al grupo de [Custom_Folders_Entries]. De todas formas lo más probable es que si se mete algún fichero ahí dentro ya exista una regla que lo contemple y por lo tanto avise de su presencia.

Efectivamente. Con un custom podemos definir otras extensiones que nos parezcan significativas, com los .BIN o un .ZIP o un .RAR.

Y sí, BSA no es un antivirus ni pretende funcionar como tal. El antivirus debe ser el propio usuario.

Piensa que si con un log hecho con el HiJackThis eres capaz de decirle a un usuario si está infectado, imagina con un análisis hecho con el BSA que es muchísimo más completo. Más fácil todavía.

Hay una diferencia significativa entre el BSA y el HiJackThis. El BSA previene y evita infecciones. El HiJackThis es para cuando piensas que ya estás infectado. Más vale prevenir que curar, así que es mejor pasar el BSA que el HiJackThis. 

Gracias de todas formas por echarle un vistazo. Entiendo que es complicado encontrar cosas nuevas que añadir porque el proyecto está realmente avanzado.

Saludos.

Lo se, lo que ocurre es que para eso deberías de usar el ordenador con el sandboxie, y la mayoría de los que vienen al foro ya se han infectado y ya es tarde, solo queda pedirles que intenten subir una muestra

Saludos

No estaría mal, más vale que sobre y no que falte

Otra cosa que había olvidado comentar, si abres el BSA tal cual viene en el archivo comprimido da problemas con los archivos de pcap, te dice que falta este o aquel otro.

Ayer cuando me paso eso directamente me instale winpcap que lo tenía a mano, pero ahora me doy cuenta que viene dentro del rar, y que basta con mover todos los archivos del directorio PCAP para afuera (al directorio principal del BSA), quizás podrías hacer algo con eso, por lo mismo que algún usuario se "asusta"

Saludos